NCSC : un malware dopé à l'IA « très probable » d'ici 2028

Le National Cyber Security Centre (NCSC), branche de l'agence de renseignement GCHQ, juge « très probable » (« highly likely ») qu'un logiciel malveillant doté d'IA serve d'ici 2028 dans une attaque par rançongiciel contre les infrastructures critiques du Royaume-Uni : centrales électriques, aéroports, hôpitaux. L'alerte figure dans son rapport annuel, présenté le 3 novembre à Londres. Le document estime aussi que la Russie et la Chine utiliseront l'IA « de manière routinière » dans leurs opérations, selon The Guardian et Infosecurity.

Une IA qui accélère, pas qui invente

Selon le NCSC, l'IA aidera les attaquants à repérer des cibles, à trouver des failles dans les réseaux et à écrire du code malveillant. Son directeur général, Richard Horne, évoque « une perspective réelle de hausse sans précédent du nombre d'incidents » dans les mois à venir (Infosecurity, traduction).

Il nuance toutefois. Le risque existe, dit-il, « non pas parce que l'IA a inventé de nouvelles façons de nous attaquer », mais parce que des vulnérabilités tolérées depuis trop longtemps peuvent être découvertes et exploitées à une échelle jusque-là inimaginable (Infosecurity, traduction). Il vise une informatique « au rabais » : systèmes en fin de vie maintenus un an de plus, mises à niveau repoussées, fournisseurs qui n'investissent pas dans la sécurité dès la conception.

L'exemple récent est la série de failles PHP, désignée sous le nom PHP2Shell. L'IA a aidé à en découvrir une critique dans ce langage, utilisé par près de 70 % des sites web selon The Guardian. Le NCSC a envoyé 110 000 notifications proactives et alertes précoces à des organisations britanniques.

Les réfrigérateurs européens, signal d'alarme

Le rapport arrive après une attaque contre des supermarchés européens. Le lundi 2 novembre, des magasins en Irlande, en Suède, en Estonie ou en Belgique ont signalé des hausses de température dans leurs frigos et congélateurs. Selon la BBC, des centaines de magasins ont été visés, avec des pertes estimées à plusieurs millions d'euros. Les attaques exploitaient des failles de systèmes de pilotage à distance de groupes froids, signalées par des chercheurs des mois plus tôt. Un incident comparable avait touché des centaines de supermarchés français le mois précédent.

Le Royaume-Uni est touché à la marge. L'association de fournisseurs de viande AIMS indique que deux de ses membres ont vu leurs équipements commencer à dégivrer, un troisième ayant constaté une hausse jusqu'à 100 °C. Les appareils étaient vides, donc sans perte de marchandise. Paul Chichester, directeur des opérations du NCSC, juge l'impact « minimal » à ce stade. L'auteur de l'attaque n'est pas identifié : Richard Horne a jugé qu'il était « trop tôt pour le dire ».

Horne y voit un avertissement : « Pendant des décennies, nous nous en sommes collectivement sortis avec de la technologie bon marché », déclare-t-il (The Guardian, traduction). Il ajoute que les réseaux de communication militaires britanniques subissent des attaques quotidiennes « persistantes », la Russie menant des campagnes volontairement sous le seuil du conflit armé.

Un cas suspect déjà observé

Le même jour, BleepingComputer rapportait une attaque du rançongiciel 3AM contre un parc scolaire britannique. Bitdefender y voit la possible utilisation de commandes générées par IA et d'une boucle automatisée. L'indice : des commandes répétées, légèrement modifiées, à intervalles de 40 à 100 secondes. Environ 37 machines sur près de 50 atteintes ont été chiffrées entre le 10 et le 19 septembre.

Bitdefender reste prudent : n'ayant pas accédé à la machine de l'attaquant, il ne peut dire quel modèle a servi, ni même si un humain copiait des instructions vers un modèle. Seul le comportement a été documenté.

Réponses publiques et réserves

Le gouvernement a annoncé le 24 octobre plusieurs financements, rapporte Infosecurity :

• 60 millions de livres pour la première phase d'un « Cyber Shield » national, dont un fonds de 25 millions pour l'innovation en IA et cybersécurité ;
• 70 millions pour un centre d'exposition et de vulnérabilités en temps réel (NERV) ;
• 120 millions pour l'AI Security Institute ;
• 40 millions pour une unité nationale sur la sécurité des agents IA.

La certification Cyber Essentials bénéficie en outre d'une remise de 75 % pour les petites entreprises, soit 80 à 125 livres hors taxes. Un projet de loi sur la cybersécurité et la résilience et un plan d'action national sont attendus.

Des experts jugent l'horizon discutable ou la riposte à double tranchant. Anthony Young, de Bridewell, estime que l'avertissement à deux ans « semble généreux » (Infosecurity, traduction). Alan Woodward, professeur à l'université du Surrey, souligne que l'IA sert aussi à corriger les failles : « Si nous n'y avons pas accès, les méchants les devanceront », dit-il (The Guardian, traduction).